Faux conseiller bancaire : valider n'est pas authentifier (CA Paris, 4 juin 2026)

Victime d’une arnaque au faux conseiller bancaire, votre banque refuse de vous rembourser au motif que vous auriez « validé » les opérations sur votre application ? La cour d’appel de Paris vient de rappeler, dans un arrêt du 4 juin 2026 (CA Paris, pôle 4 ch. 9-A, 4 juin 2026, n° 25/08994), qu’une validation affichée dans les journaux de la banque ne vaut pas authentification forte, et encore moins preuve d’une négligence grave du client.

La Société Générale est condamnée à rembourser 6 600 euros débités par neuf paiements frauduleux « Revolut », avec intérêts au taux légal majoré de 15 points, et à verser 1 000 euros de dommages et intérêts pour préjudice moral ainsi que 3 000 euros au titre de l’article 700 du code de procédure civile.

Cet arrêt intéresse toute victime de fraude bancaire par téléphone (spoofing, vishing, faux service anti-fraude), de paiements non autorisés par carte bancaire ou de validation frauduleuse via un dispositif d’authentification comme le Pass Sécurité de la Société Générale, Sécur’Pass de BNP Paribas, Certicode Plus ou les notifications in-app des néobanques.

Le 16 février 2023, vers 17 heures, une cliente de la Société Générale, titulaire d’un compte joint avec son époux depuis 1994, reçoit l’appel d’un homme se présentant comme agent du service des fraudes de sa banque. Il lui annonce que son compte est en train d’être piraté et exige qu’elle agisse immédiatement.

Pendant l’appel, elle reçoit plusieurs messages intitulés « SG service anti-fraude » mentionnant différents montants.

Le même jour, neuf opérations sont débitées au profit de « Revolut 1766, Revolut 4640, Revolut 9654, Revolut 7465 », pour un total de 6 600 euros (500, 500, 300, 800, 500, 700, 1 300, 1 300 et 700 euros).

La chronologie est la suivante :

En première instance, le tribunal avait déjà jugé que les neuf captures d’écran produites par la banque ne permettaient pas d’établir que la cliente s’était connectée et avait validé les opérations.

La Société Générale a fait appel en soutenant que chaque paiement avait été « validé » via le Pass Sécurité, depuis le téléphone de confiance de la cliente, avec son code personnel.

Le régime des opérations de paiement non autorisées est issu de la directive européenne DSP2 (2015/2366), transposée aux articles L. 133-1 et suivants du code monétaire et financier.

Il est très protecteur du client, et la cour d’appel en fait une lecture rigoureuse.

La cour résume l’articulation de ces textes en deux temps.

La banque doit d’abord prouver que ce sont bien les données d’authentification de l’utilisateur qui ont été utilisées, sans défaillance technique.

Elle doit ensuite, même en présence d’une authentification forte, fournir des éléments prouvant la fraude ou la négligence grave du client.

C’est tout l’apport de l’arrêt.

La banque raisonnait ainsi : le Pass Sécurité a fonctionné, chaque paiement porte une trace de « validation », donc la cliente a authentifié et autorisé les opérations.

La cour refuse ce syllogisme.

Une validation est une ligne dans un journal informatique : à tel instant, un bouton « accepter » a été pressé et un code saisi dans une session liée à un appareil.

Une authentification forte, au sens de l’article L. 133-4 f), est autre chose : la démonstration que ce sont bien le code que seul le client connaît et l’appareil que seul le client possède qui ont été utilisés, par des facteurs indépendants dont la compromission de l’un ne remet pas en cause l’autre.

Autrement dit, la banque prouve qu’un appareil a validé.

Elle doit prouver que le client a validé, avec ses facteurs.

Entre les deux, il y a tout l’espace de la fraude : prise de contrôle à distance, appareil enrôlé par l’escroc, session détournée, faille applicative.

La Société Générale affirmait que les neuf paiements avaient été validés depuis l’iPhone 11 Pro de la cliente, enregistré comme appareil de confiance le 8 décembre 2022.

Or ses propres relevés indiquaient une adresse IP située en Israël au moment des validations. La cliente, elle, se trouvait en Auvergne, ce qu’elle a prouvé par ses relevés de péage d’autoroute.

La cour en tire la conséquence logique : l’appareil censé constituer le facteur « possession » ne pouvait pas, en principe, se trouver en Israël.

Ce seul constat corrobore que ce n’est pas la cliente qui a validé les opérations depuis son téléphone.

La cour relève une contradiction interne dans la thèse de la banque.

Si la cliente avait réellement communiqué ses codes, l’escroc aurait enregistré un autre appareil et validé depuis celui-ci.

Or la banque soutient que c’est le téléphone de la cliente qui a servi.

Les deux affirmations ne peuvent être vraies en même temps : soit il y a eu enrôlement d’un appareil tiers, soit l’appareil de la cliente a été utilisé à son insu depuis l’étranger. Dans les deux cas, le dispositif n’a pas rempli sa fonction.

La banque invoquait des notifications et SMS envoyés à chaque étape.

Elle ne les a jamais produits, en arguant du temps écoulé.

La cour écarte l’argument : prévenue très rapidement par sa cliente, la banque devait conserver ces preuves au regard du litige.

Ce point est essentiel pour les praticiens : l’obligation de conservation des preuves pèse sur la banque dès la réclamation.

Les époux relevaient en outre que, d’après les propres journaux de la banque, deux opérations avaient été validées à la même seconde, ce qui est difficilement compatible avec une saisie humaine successive sur une application.

Le 3 mars 2023, le directeur de l’agence écrivait au service des litiges cartes que la fraude avait bien été constatée par ses services et demandait le remboursement.

La banque tentait de minimiser cet écrit, rédigé avant le retour du service authentification. La cour, au contraire, le retient comme un élément confirmant la faille.

Conclusion de la cour : il y a bien eu une faille de sécurité et la cliente n’a pas fait preuve de négligence.

La banque invoquait trois éléments : un compte rendu de la conseillère selon lequel la cliente aurait « donné les numéros de ses trois cartes ainsi que ses codes d’accès », le fait qu’elle n’ait pas demandé l’identité de son interlocuteur, et les messages de prévention publiés sur son site.

Aucun ne suffit.

Le compte rendu est une pièce que la banque s’est faite à elle-même, contestée par la cliente et non corroborée.

La cour s’inscrit ici dans la ligne de la Cour de cassation, qui rappelle qu’il incombe au prestataire de services de paiement de rapporter la preuve de la négligence grave de son client (Cass. com., 23 oct. 2024, n° 23-16.267, publié au Bulletin).

La cour rappelle la distinction désormais classique.

Ne commet pas de faute le client qui, répondant à un appel qu’il croit émaner de sa banque, procède à des manipulations sur instruction.

Commet en revanche une négligence grave celui qui répond à des messages dont la nature frauduleuse aurait dû lui apparaître ou clique sur des liens douteux.

C’est la solution de l’arrêt du 23 octobre 2024 : aucune négligence grave n’est caractérisée lorsque l’escroc, se présentant comme salarié de la banque, met la victime en confiance par téléphone (Le Club des Juristes). La Cour de cassation l’a étendue aux sociétés commerciales le 12 juin 2025 (n° 24-13.777), dans une affaire de faux technicien BNP Paribas (Village de la Justice).

L’arrêt du 4 juin 2026 présente une nuance intéressante. La banque soulignait que les époux ne prouvaient pas que le numéro de l’escroc s’affichait comme celui de la Société Générale. La cour ne s’y arrête pas. Dès lors que la banque échoue à prouver l’authentification elle-même, la question de la vigilance de la cliente devient secondaire : on ne peut reprocher une négligence grave au client quand c’est le dispositif de sécurité qui a failli.

C’est une avancée pour les victimes qui ne disposent pas de capture de l’appel entrant, situation fréquente depuis la généralisation du mécanisme d’authentification des numéros (loi Naegelen, effectif depuis le 1er octobre 2024) qui a déplacé les escroqueries vers d’autres canaux.

La Société Générale soutenait qu’une fois l’authentification forte réalisée, elle n’avait pas à vérifier les adresses IP, ses clients pouvant voyager. L’argument est retourné contre elle : c’est précisément l’adresse IP qui démontre que la « possession » n’était pas celle de la cliente. Sans consacrer une obligation générale de surveillance géographique, l’arrêt montre que ces données techniques, dès lors qu’elles figurent dans les pièces de la banque, peuvent suffire à ruiner sa démonstration.

La banque opposait le caractère exclusif du régime des articles L. 133-18 et suivants : selon elle, aucune indemnisation complémentaire ne pouvait être accordée.

La cour écarte l’objection.

Le régime spécial n’interdit pas au client de demander réparation pour résistance abusive et pour les fautes commises dans le traitement de son dossier et dans les relations postérieures. Or la banque a abusivement refusé le remboursement, puis a clôturé le compte des époux, clients depuis près de trente ans.

Le jugement est infirmé sur ce point et la Société Générale est condamnée à payer :

La majoration de 15 points n’est pas anecdotique : le taux légal applicable aux particuliers, déjà supérieur à 7 % en 2024 et 2025, est augmenté de 15 points, soit plus de 20 % par an sur la somme due. Elle constitue un puissant levier de négociation face à une banque qui tarde à rembourser.

Cette distinction est précieuse en pratique : le régime spécial couvre le remboursement de l’opération, pas le comportement fautif de la banque après la réclamation (accusation de mensonge, clôture de compte vexatoire, refus non motivé).

L’arrêt du 4 juin 2026 fournit une grille de lecture directement exploitable face au refus d’une banque. Le réflexe « vous avez validé, donc vous avez autorisé » ne résiste pas à l’analyse dès lors que l’on exige de la banque la preuve complète de l’authentification forte.

Oui, en principe. Une opération que vous n’avez pas consentie est une opération non autorisée : la banque doit la rembourser au plus tard le premier jour ouvrable suivant votre signalement, sauf à prouver votre fraude ou votre négligence grave.

Oui. La cour d’appel de Paris juge que la trace d’une validation ne suffit pas : la banque doit prouver que ce sont bien vos propres facteurs d’authentification qui ont été utilisés, sans faille technique, puis démontrer une négligence grave de votre part.

C’est un manquement caractérisé à la protection de vos données de sécurité, par exemple répondre à un courriel manifestement frauduleux. Être trompé par un faux conseiller au téléphone n’est pas, en soi, une négligence grave selon la Cour de cassation.

La banque. L’article L. 133-23 du code monétaire et financier met à sa charge la preuve de l’authentification, de l’enregistrement et de l’absence de défaillance technique, ainsi que la preuve de votre éventuelle négligence grave.

Treize mois à compter du débit, mais il faut agir immédiatement : plus le signalement est rapide, plus la position du client est solide.

Mettez-la en demeure par écrit, saisissez le cas échéant le médiateur bancaire, puis le tribunal judiciaire. Les intérêts au taux légal sont majorés jusqu’à 15 points au-delà de 30 jours de retard.

Oui. L’arrêt du 4 juin 2026 accorde 1 000 euros au titre du préjudice moral pour résistance abusive et clôture du compte, en plus du remboursement et des intérêts majorés.

La banque peut en principe résilier une convention de compte avec préavis. Mais une clôture intervenant en réaction à une réclamation légitime peut caractériser une faute indemnisable, comme l’a retenu la cour dans cette affaire.

Avocat en droit bancaire à Paris depuis 2012, Maître Maude Hupin accompagne les victimes de fraude bancaire : arnaque au faux conseiller, spoofing téléphonique, faux service anti-fraude, virements et paiements non autorisés. Le cabinet a obtenu la condamnation de plusieurs établissements, dont Boursorama, Banque Populaire, BNP Paribas et Qonto, au remboursement de leurs clients.

Votre banque vous oppose que vous avez « validé » les opérations ? C’est précisément l’argument que la jurisprudence récente permet de combattre. Contactez le cabinet pour une analyse de votre dossier : journaux d’authentification, stratégie de mise en demeure, saisine du tribunal.
Maître Maude Hupin, Avocat au barreau de Paris — Droit bancaire, fraude et opérations de paiement non autorisées.